Tóm tắt
- Kẻ tấn công Coldcard Wave 3 đã chuyển bitcoin bị đánh cắp khỏi các địa chỉ ban đầu và chuyển đổi một phần thành ethereum thông qua THORChain nhằm mục đích rửa tiền.
- Chi tiết giao dịch tiết lộ các cài đặt replace-by-fee, thời gian khóa gần đây, phí cao hơn và cấu trúc đa chữ ký hai trên hai kiểm soát số tiền bị đánh cắp qua các ví.
- Các nhà điều tra phải theo dõi hoạt động trên bitcoin và ethereum trong khi hầu hết các tài sản của Wave 3 vẫn được lưu trữ nguyên vẹn trong các kho ban đầu.
Kẻ tấn công Coldcard Wave 3 đã di chuyển bitcoin bị đánh cắp trực tiếp từ các địa chỉ do kẻ tấn công ban đầu kiểm soát lần đầu tiên được ghi nhận. Theo Alex Thorn, trưởng nhóm nghiên cứu của Galaxy Digital, kẻ khai thác đã chuyển một phần số BTC bị đánh cắp thành ethereum thông qua THORChain.
Giao dịch này đã chấm dứt sự im lặng kéo dài xung quanh số tiền bị đánh cắp trong Wave 3 và tiết lộ một lộ trình tẩy rửa khả dĩ. Hơn nữa, các nhà nghiên cứu chưa ghi nhận bất kỳ chi tiêu trực tiếp nào từ các địa chỉ hacker liên quan đến Waves 1, 2 hoặc 3.
Hoạt động này cung cấp cho các điều tra viên bằng chứng cho thấy cách kẻ tấn công có thể chuyển tài sản bị đánh cắp ra ngoài các ví bitcoin ban đầu. Thay vì giữ tất cả trong các kho ban đầu, kẻ khai thác đã bắt đầu di chuyển giá trị giữa các mạng blockchain riêng biệt.
Do đó, các nhà điều tra phải kết nối các giao dịch giữa Bitcoin và Ethereum đồng thời xác định các ví đích liên quan đến các giao dịch chéo chuỗi. THORChain cho phép người dùng trao đổi các loại tiền điện tử bản địa giữa các blockchain mà không cần dựa vào tài sản được bao bọc hoặc các nền tảng giao dịch tập trung. Do đó, giao thức này cung cấp một phương pháp trực tiếp để chuyển đổi bitcoin bị đánh cắp thành ETH bản địa thông qua các hồ thanh khoản phi tập trung.
Cũng đọc: Nhu cầu về stablecoin bitcoin suy yếu khi BTC giữ mức gần 77.000 USD
Chi tiết giao dịch tiết lộ những thay đổi trong phương thức chi tiêu của tin tặc
Thorn báo cáo rằng các khoản nạp vào THORChain bao gồm memo OP_RETURN và thẻ liên kết “sto” với mức phí bằng không. Những chi tiết này có thể giúp các nhà nghiên cứu phân biệt các giao dịch của tin tặc với các hoạt động không liên quan trên giao thức sàn giao dịch phi tập trung.
Đáng chú ý, Thorn đã xác định các khác biệt kỹ thuật giữa các giao dịch này và các ví liên quan đến các đợt thu gom vào tháng Bảy và tháng Tám. Các giao dịch bitcoin sau này cho phép thay thế bằng phí, sử dụng thời gian khóa gần đây và mang mức phí mạng cao hơn so với các giao dịch trước đó.
Ngoài ra, việc chi tiêu đợt 3 đầu tiên đã phơi bày cấu trúc đa chữ ký hai trên hai kiểm soát bitcoin bị đánh cắp. Cấu trúc này yêu cầu hai chữ ký mã hóa riêng biệt trước khi mạng bitcoin có thể phê duyệt và xử lý bất kỳ giao dịch nào.
Các giao dịch chuyển sau đó sử dụng cùng cấu trúc đa chữ ký, mặc dù kẻ tấn công dựa vào các khóa khác nhau để cấp phép. Những biến thể này cho thấy kẻ tấn công đã thay đổi phần mềm giao dịch hoặc áp dụng quy trình khác để quản lý tài sản bị đánh cắp.
Tuy nhiên, các bằng chứng hiện có không xác định được ai kiểm soát các ví hay phần mềm nào tạo ra mỗi giao dịch. Việc chuyển đổi ETH làm phức tạp quá trình truy vết quỹ vì các nhà điều tra phải xem xét hoạt động được ghi lại trên hai sổ cái công khai độc lập.
Các nhà nghiên cứu phải khớp các giao dịch hoán đổi Bitcoin với THORChain đang đi ra và theo dõi các địa chỉ Ethereum tương ứng để phát hiện thêm các chuyển động. Các khoản chuyển tiếp theo có thể tiết lộ liệu kẻ tấn công có kế hoạch thực hiện thêm các giao dịch hoán đổi, chia tài sản hay gửi tiền đến các sàn tiền điện tử. Tuy nhiên, phần lớn bitcoin bị đánh cắp trong Wave 3 vẫn nằm trong các kho ban đầu, để lại số dư lớn đang được điều tra tích cực.
Cũng đọc: Hyperliquid công bố HIP-3* như một lớp tùy chọn cho các thị trường có quyền truy cập
Bài viết Coldcard Hacker Chuyển Bitcoin Sóng 3 Sang Ethereum Qua THORChain xuất hiện đầu tiên trên 36Crypto.